diff --git a/android-client/PLAN.md b/android-client/PLAN.md
index 7352eba..115c75d 100644
--- a/android-client/PLAN.md
+++ b/android-client/PLAN.md
@@ -86,9 +86,15 @@ sans dérivation, et rafraîchissement de fond silencieux.
    un chiffré valide que le matériel refusait de lire. Le symptôme
    n'apparaissait qu'au lancement suivant.
 
-Ce qui reste de §1 : l'expiration de la fenêtre de 30 s (le cache doit
-survivre — il le fera, `LoadVault` n'efface plus jamais) et l'enrôlement d'une
-nouvelle empreinte, qui invalide la clé pour de bon.
+**§1.4 validé aussi** : une minute d'attente, téléphone verrouillé puis
+déverrouillé, réouverture → la fenêtre de 30 s avait expiré, l'invite est
+réapparue, et le cache était intact. C'est précisément le cas qui détruisait le
+fichier avant que `LoadVault` cesse de trancher lui-même.
+
+Ne reste que §1.6 : enrôler une nouvelle empreinte, ce qui invalide la clé pour
+de bon. L'application doit le dire et repartir sur un retéléchargement propre —
+et c'est le seul cas où effacer est justifié, parce que le fichier ne
+redeviendra jamais lisible.
 
 <details>
 <summary>Le diagnostic d'origine, conservé pour la trace</summary>